De Nederlandse inlichtingendiensten hebben niet aan de verplichtingen van de Wiv 2017 voldaan met het verstrekken van ongeëvalueerde gegevens aan buitenlandse collegadiensten. Ze schoten op een aantal punten tekort, is het oordeel van de toetsingscommissie.
De Commissie van Toezicht op de Veiligheids- en Inlichtingendiensten heeft onderzocht of de AIVD en de MIVD rechtmatig hebben gehandeld bij het verstrekken van ongeëvalueerde gegevens aan buitenlandse inlichtingen- en veiligheidsdiensten in de periode 1 mei 2018 tot 1 januari 2019. Dit zijn gegevens die de diensten hebben verzameld, maar waarvan de inhoud hen niet of nauwelijks bekend is. Het delen ervan brengt risico's voor de privacy en grondrechten van Nederlanders met zich mee en er is dan ook voorafgaand toestemming van de minister vereist.
De commissie oordeelt na haar onderzoek dat er het een en ander aan te merken is op de handelwijze bij het delen van de data. Ze zijn 'tekortgeschoten bij de naleving van de wettelijke verplichtingen', is het oordeel. Vooral bij het vastleggen van de verstrekkingen moeten de diensten verbeteringen doorvoeren, concludeert de Ctivd. "Het moet ter uitvoering van de wettelijke protocolplicht van de diensten voor iedere medewerker duidelijk zijn dát verstrekkingen van ongeëvalueerde gegevens moeten worden vastgelegd, wát er moet worden vastgelegd en wáár dat moet gebeuren." Die registratie gebeurde tot nu toe niet, onvoldoende of niet uniform.
Daarnaast verzuimde de AIVD voor een aantal verstrekkingen binnen drie samenwerkingsverbanden toestemming aan de minister te vragen. De beide diensten motiveerden bij een aantal verzoeken om data te mogen delen onvoldoende wat de risico’s zijn en hoe deze beperkt zouden worden.
De Ctivd noemt het essentieel dat de AIVD en MIVD hun handelwijze zo snel mogelijk verbeteren, waarbij de commissie erop wijst dat de diensten op basis van de Wiv 2017 ongericht de kabel mogen aftappen. Uit het onderzoek van de Ctivd blijkt dat de diensten de systemen hiervoor nog niet gereed hebben, maar zodra dit het geval is, is de verwachting dat ze nog veel meer ongeëvalueerde data gaan delen.
Het onderzoek geeft verder een globale indruk van het delen van data door de AIVD en MIVD met buitenlandse inlichtingendiensten. Zo blijkt dit delen via automatische of semiautomatische verbindingen te verlopen, maar ook via harde schijven en usb-sticks. In de genoemde periode is er bij de AIVD bij twaalf en bij de MIVD bij tien samenwerkingen data gedeeld. In vier gevallen kan het daarbij om grote hoeveelheden gaan, doordat de minister toestemming heeft gegeven voor maximaal een jaar, voor verstrekkingen 'van vergelijkbare aard'.
"De Ctivd heeft verstrekkingen aangetroffen waar sprake was van een multilaterale samenwerking, waarbij vrijwel dagelijks grote hoeveelheden gegevens zijn verstrekt aan buitenlandse diensten", staat in het rapport. Ook waren er verstrekkingen die 'met enige regelmaat' zoals maandelijks, of die eenmalig plaatsvonden. Het delen gebeurde met buitenlandse diensten waarmee strategisch langlopende samenwerkingen bestaan. Er werd niet gedeeld met buitenlandse inlichtingendiensten waarmee geen samenwerkingsrelatie bestaat. Dit mogen de AIVD en MIVD wel op grond van de Wiv 2017, maar hiervoor is 'een dringende en gewichtige reden' vereist, naast toestemming van de minister.